Discord confirme un piratage d'un fournisseur de support exposant des données utilisateur et des pièces d'identité gouvernementales

Comment la fuite de données de Discord s'est déroulée

Début octobre 2025, Discord a confirmé un incident de sécurité majeur impliquant un fournisseur de service client tiers, affectant les utilisateurs ayant contacté ses équipes d'assistance client ou de confiance et sécurité. La violation, survenue le 20 septembre 2025, n'était pas une intrusion directe dans les systèmes internes de Discord mais plutôt un compromis de l'environnement de tickets d'assistance d'un fournisseur. Les attaquants, se faisant appeler Scattered Lapsus$ Hunters (SLH), ont exfiltré environ 1,6 téraoctets de données, y compris des informations sensibles sur les utilisateurs et des images de pièces d'identité gouvernementales utilisées pour les appels de vérification d'âge.

Le fournisseur 5CA nommé comme vecteur de la violation

Discord a publiquement nommé 5CA, une société d'expérience client basée aux Pays-Bas, comme le fournisseur tiers dont l'environnement a été compromis. Selon la déclaration mise à jour de Discord le 9 octobre 2025, la partie non autorisée a accédé au système de tickets d'assistance de 5CA, obtenant l'accès aux tableaux de bord internes, aux détails de paiement et aux photos de pièces d'identité gouvernementales. Cependant, 5CA a rapidement émis un déni, affirmant que ses systèmes n'avaient pas été compromis et qu'elle ne traite pas les pièces d'identité délivrées par le gouvernement pour Discord. Cette contradiction a semé la confusion, 5CA suggérant que l'incident pourrait provenir d'une erreur humaine plutôt que d'une violation directe du système.

Quelles données ont été exposées ?

Les données volées incluent les noms, les noms d'utilisateur Discord, les adresses e-mail, les adresses IP et les transcriptions des interactions avec le support client. Plus critique encore, Discord a identifié environ 70 000 utilisateurs dont les images de pièces d'identité gouvernementales (telles que les permis de conduire et les passeports) ont pu être consultées. Des informations de facturation limitées—type de paiement, quatre derniers chiffres des cartes de crédit et historique d'achat—ont également été divulguées. Discord a assuré que les numéros complets de cartes de crédit, les mots de passe et les messages privés en dehors des canaux d'assistance restaient sécurisés.

Le groupe de pirates et leurs demandes

L'acteur malveillant connu sous le nom de Scattered Lapsus$ Hunters (SLH) a revendiqué la responsabilité, prétendument une coalition combinant les tactiques de Scattered Spider, Lapsus$ et ShinyHunters—des groupes tristement célèbres pour cibler les fournisseurs tiers. SLH a tenté d'extorquer Discord pour une rançon, affirmant initialement détenir plus de 2 millions de photos de pièces d'identité gouvernementales, bien que l'enquête interne de Discord ait fixé le chiffre à environ 70 000. Discord a refusé de payer la rançon et les forces de l'ordre ont été engagées pour traquer les auteurs.

Mesures immédiates prises par Discord

Après la découverte, Discord a révoqué l'accès du fournisseur à son système de tickets et mis fin au partenariat. L'entreprise a lancé une enquête interne avec un cabinet de criminalistique informatique de premier plan et a notifié les autorités de protection des données compétentes. Les utilisateurs concernés sont contactés par e-mail depuis noreply@discord.com, et Discord a souligné qu'il n'appellera jamais les utilisateurs pour des problèmes de sécurité. L'entreprise a également réitéré que son infrastructure principale restait non compromise.

Leçons pour les utilisateurs et l'industrie

Cet incident souligne les risques des attaques de la chaîne d'approvisionnement, où les attaquants exploitent des partenaires tiers moins sécurisés. Pour les utilisateurs de Discord, la violation met en évidence l'importance de sécuriser les comptes avec des mots de passe forts et d'activer l'authentification à deux facteurs. Les utilisateurs doivent également être prudents quant au partage d'informations sensibles comme les pièces d'identité gouvernementales, même pour des appels légitimes. La contradiction entre les déclarations de Discord et de 5CA souligne la nécessité d'une gestion des risques fournisseurs plus transparente et de protocoles de réponse aux incidents robustes dans toute l'industrie.